Acordul de prelucrare a datelor

1. Părțile și felul în care se încheie acordul

Acordul se încheie între:

• salonul: persoana fizică autorizată, întreprinderea individuală sau societatea titulară a contului de profesionist în Glamz, reprezentată de proprietarul contului; și
• Stefan-Marian Kis Persoană Fizică Autorizată, care folosește marca QualixSoft și operează platforma Glamz, CUI 53153242, nr. de ordine în Registrul Comerțului F2025051916001, cu sediul în sat Figa, oraș Beclean, str. Principală nr. 131C, județul Bistrița-Năsăud, România, email [email protected], telefon 0742 399 493 („noi” sau „Glamz”).

Acordul este anexă la Termenii pentru profesioniști și face parte din contractul dintre salon și Glamz. Salonul îl acceptă în formă electronică, odată cu Termenii pentru profesioniști. Forma electronică este permisă de art. 28 alin. (9) GDPR și are aceeași valoare ca forma scrisă pe hârtie.

Acordul îndeplinește cerințele art. 28 alin. (3) din Regulamentul (UE) 2016/679 (GDPR). Se aplică împreună cu Legea nr. 190/2018 privind măsurile de punere în aplicare a GDPR.

2. Ce înseamnă termenii folosiți

Termenii de mai jos au înțelesul din art. 4 GDPR. Pe scurt:

• operator: cel care stabilește scopurile și mijloacele prelucrării; în acest acord, salonul;
• persoană împuternicită: cel care prelucrează date în numele operatorului; în acest acord, Glamz;
• subîmputernicit: o firmă la care Glamz apelează pentru o parte din prelucrare, în numele salonului;
• persoană vizată: omul despre care sunt datele, de pildă clienta sau o angajată a salonului;
• date privind sănătatea: date despre sănătatea fizică sau mintală a unei persoane (art. 4 pct. 15 GDPR), care fac parte din categoriile speciale de date (art. 9);
• încălcarea securității datelor: o întâmplare care duce la distrugerea, pierderea, modificarea, divulgarea neautorizată sau accesul neautorizat la date (art. 4 pct. 12 GDPR);
• panoul: aplicația salonului de la business.glamz.app și, când este disponibilă, aplicația mobilă Glamz folosită de personalul salonului;
• personalul salonului: utilizatorii din contul salonului, cu rolurile proprietar, administrator, specialistă sau recepție.

3. Rolurile părților

Salonul este operatorul pentru datele pe care le ține în Glamz despre clientele lui și despre personalul lui. Glamz este persoana împuternicită pentru aceste date.

Glamz este operator în nume propriu, nu împuternicit, pentru: contul Glamz al clientei, conturile personalului și ale proprietarului, datele de facturare ale salonului, contul de încasare, recenziile, favoritele, urmăririle, aprecierile, lista de așteptare pusă din aplicație, monedele Glamz, notificările din aplicație, jurnalele de securitate și facturarea abonamentelor. Aceste date sunt descrise în Politica de confidențialitate și nu intră în acest acord.

Pentru datele pe care fiecare le prelucrează ca operator, salonul și Glamz sunt operatori separați, nu operatori asociați în sensul art. 26 GDPR.

4. Obiectul, durata, natura și scopul prelucrării

Obiectul. Glamz păstrează și prelucrează datele pe care salonul le pune în Glamz sau le primește prin Glamz, ca salonul să poată folosi panoul și piața glamz.app.

Durata. Cât timp salonul folosește Glamz, plus perioada de export și de ștergere de la încetare (secțiunea „La încetare”).

Natura. Colectare prin formulare și chestionare, înregistrare, stocare, organizare, afișare către personalul salonului după rol, căutare, generarea PDF-ului de consimțământ, trimiterea mesajelor (SMS, email, notificări pe telefon), încasarea plăților cu cardul în numele salonului, copii de siguranță, anonimizare și ștergere.

Scopul. Ca salonul să își țină programările, fișele clientelor, chestionarele și consimțămintele, înregistrările de sănătate, fișele de execuție, plățile și consumurile, stocul, comunicările cu clientele, campaniile, pontajul și turele personalului.

5. Tipurile de date și categoriile de persoane vizate

Tipuri de date:

• fișa clientei: nume, telefon, email, data nașterii, note interne, pronume, ocupație, limbă, sursă, recomandare, etichete;
• chestionarele și consimțămintele: răspunsuri, semnale de atenție, semnătura desenată, PDF-ul semnat, adresa IP și agentul (browserul) de la semnare, poze încărcate în chestionar;
• fișa de execuție: parametri, poze înainte și după, note;
• programări, plăți, consumuri de produse;
• comunicări: istoricul SMS, campaniile, mesajele din conversațiile cu salonul;
• date despre personal: pontaj și ture.

Categorii speciale de date (art. 9 GDPR): date privind sănătatea, cuprinse în răspunsurile la chestionare, în semnalele de atenție, în înregistrările de sănătate (alergii, teste dermatologice), în documentele medicale încărcate pe fișă (JPEG, PNG, PDF) și, după caz, în poze și în notele fișei de execuție.

Categorii de persoane vizate: clientele salonului, cu cont Glamz sau invitate, inclusiv minore, când salonul le primește; persoanele care au recomandat o clientă, dacă salonul le notează; personalul salonului.

6. Prelucrarea doar pe instrucțiunile salonului

Glamz prelucrează datele doar pe baza instrucțiunilor documentate ale salonului, inclusiv pentru transferurile în afara Spațiului Economic European (art. 28 alin. (3) lit. a) GDPR). Instrucțiunile sunt:

• folosirea panoului de către salon și de către personalul lui: fiecare acțiune făcută în panou este o instrucțiune;
• prezentul acord și Termenii pentru profesioniști;
• instrucțiunile scrise trimise de proprietarul contului la [email protected], de pe adresa de email a contului.

Prin acceptarea acordului, salonul ne dă și următoarele instrucțiuni permanente:

• să ștergem automat datele de sănătate la 3 ani de la ultima programare a clientei la salon (sau de la deschiderea fișei, dacă e mai recentă); cât timp salonul are în registrul de sesizări o sesizare nerezolvată despre clientă sau despre o programare a ei, datele ei de sănătate nu se șterg;
• când o clientă își șterge contul Glamz, să golim de date personale fișa ei de la salon și să păstrăm anonimizate programările, plățile, consumurile și fișa de execuție fără poze, pentru evidența contabilă a salonului;
• să trecem în contul Glamz al clientei istoricul pe care salonul îl are despre ea ca invitată, doar după ce ea și-a dovedit adresa de email;
• să oprim campaniile pentru fișele care au cerut STOP sau s-au dezabonat;
• să ascundem numele serviciului din SMS-uri și notificări la nișele sensibile.

Dacă legea Uniunii sau legea română ne obligă să prelucrăm datele altfel, anunțăm salonul înainte, în afară de cazul în care legea interzice anunțul.

Dacă o instrucțiune încalcă legea. Dacă, după părerea noastră, o instrucțiune a salonului încalcă GDPR sau altă lege privind protecția datelor, îl anunțăm imediat pe salon (art. 28 alin. (3) ultimul paragraf). Nu suntem obligați să executăm o instrucțiune care încalcă legea.

Dacă o instrucțiune scrisă cere ceva ce panoul nu face și nu o putem executa, îi spunem salonului fără întârziere. Salonul poate atunci înceta contractul, după Termenii pentru profesioniști.

7. Confidențialitatea persoanelor care lucrează pentru Glamz

Persoanele pe care Glamz le autorizează să lucreze cu datele salonului s-au angajat să păstreze confidențialitatea sau au o obligație legală de confidențialitate (art. 28 alin. (3) lit. b) GDPR). Obligația continuă și după ce încetează să lucreze pentru Glamz.

Echipa Glamz folosește panoul de administrare doar pentru moderare, suport și facturare. Panoul nu îi arată răspunsurile la chestionare, semnalele de sănătate, semnăturile, notele interne și PDF-urile de consimțământ. Acțiunile echipei Glamz în panou se trec într-un jurnal.

Acces tehnic direct la baza de date au doar persoanele care administrează serverele. Îl folosesc numai pentru mentenanță și pentru repararea erorilor, nu ca să citească datele clientelor. Accesul acesta nu se trece în jurnalul de mai sus.

8. Securitatea prelucrării

Glamz ia măsurile tehnice și organizatorice cerute de art. 32 GDPR, potrivite cu riscul pe care îl presupun datele de sănătate (art. 28 alin. (3) lit. c)). Măsurile sunt descrise în Anexa tehnică de la sfârșitul acordului.

Putem schimba măsurile în timp, cu condiția să nu scadă nivelul de protecție descris în anexă.

Salonul răspunde de securitatea din partea lui: dă fiecărei persoane din echipă rolul potrivit, scoate accesul celor care pleacă, păstrează parolele secrete, nu folosește conturi comune și ține în siguranță dispozitivele de pe care se intră în panou.

9. Subîmputerniciții

Autorizare generală. Salonul ne dă autorizare generală scrisă să folosim subîmputerniciți (art. 28 alin. (2) GDPR). La data acordului, aceștia sunt:

Alți furnizori pe care îi folosim nu primesc datele clientelor salonului: Google (autentificarea cu contul Google, la alegerea utilizatorului, ca parte a contului Glamz), ANAF (căutarea datelor publice ale unei firme după CUI), OpenStreetMap / Nominatim (coordonatele adresei salonului) și Esri (imaginile de hartă de pe web, cerute direct de browserul vizitatorului).

Plățile online ale clientelor tale. Pentru plățile făcute în contul tău Stripe, tu și Stripe sunteți fiecare operator pentru datele plății, după contractul tău cu Stripe. Pentru aceste date Stripe nu e subîmputernicitul nostru. Noi îi transmitem lui Stripe doar datele necesare plății: suma, felul plății și programarea sau comanda pentru care se plătește.

Obligațiile subîmputerniciților. Fiecare subîmputernicit este legat de Glamz printr-un contract care îi impune obligații de protecție a datelor la fel ca cele din acest acord, în special garanții suficiente pentru măsurile de securitate (art. 28 alin. (4) GDPR). Glamz răspunde față de salon pentru felul în care subîmputerniciții își îndeplinesc obligațiile.

Schimbarea unui subîmputernicit. Anunțăm salonul cu cel puțin 30 de zile înainte de a adăuga sau de a înlocui un subîmputernicit, prin email la adresa proprietarului contului. Anunțul spune cine este furnizorul, ce face și unde prelucrează datele.

Dreptul de opoziție. În aceste 30 de zile, salonul se poate opune schimbării, în scris, la [email protected], arătând motivele legate de protecția datelor. Căutăm împreună o soluție. Dacă nu o găsim înainte de data schimbării, salonul poate înceta contractul, fără penalități, cu efect cel mai târziu la data schimbării.

10. Transferurile în afara Uniunii Europene

Baza de date este în România, iar fișierele și copiile de siguranță stau în Cloudflare R2, cu jurisdicția UE. Datele de sănătate sunt stocate numai în Uniunea Europeană și nu intră în emailuri, SMS-uri sau notificări pe telefon. În tranzit, ele trec criptat prin rețeaua Cloudflare, care poate folosi și servere din afara UE.

Unele date ies din Spațiul Economic European doar prin subîmputerniciții din tabel care sunt în SUA sau au acolo o parte din rețea: Cloudflare (trafic), Stripe Inc., Resend, Twilio (doar ca rezervă pentru SMS), Expo, Google FCM, Apple APNs și Sentry (doar accesul de suport la rapoartele de erori, stocate în UE). Aceste transferuri se fac pe baza:

• deciziei de adecvare a Comisiei Europene pentru cadrul UE-SUA privind protecția datelor (art. 45 GDPR), pentru furnizorii certificați în acest cadru; sau
• clauzelor contractuale standard adoptate de Comisia Europeană (art. 46 alin. (2) lit. c) GDPR).

Datele care ies astfel sunt cele necesare pentru plată sau pentru livrarea unui mesaj: numărul de telefon sau adresa de email, textul mesajului, datele plății, traficul care trece prin rețeaua Cloudflare, precum și rapoartele de erori tehnice, din care scoatem datele personale înainte de trimitere. La nișele sensibile, SMS-urile, notificările și subiectul emailurilor nu scriu numele serviciului; textul emailului îl scrie.

Nu facem alte transferuri în afara SEE fără instrucțiunea salonului, în afară de cazul în care legea ne obligă.

11. Asistența pentru drepturile persoanelor vizate

Salonul răspunde cererilor clientelor și ale personalului său (art. 12–22 GDPR). Glamz îl ajută prin măsuri tehnice și organizatorice potrivite (art. 28 alin. (3) lit. e)):

• prin funcțiile din panou: salonul poate vedea și corecta fișa, poate exporta lista clientelor, poate descărca PDF-ul fiecărui chestionar semnat, poate șterge înregistrările și documentele de sănătate, iar proprietarul poate goli toată fișa unei cliente înainte de termen; fișele care au cerut STOP nu mai primesc campanii;
• prin răspunsul la cereri: ce nu se poate face din panou, facem noi la cererea scrisă a salonului, fără întârzieri nejustificate, astfel încât salonul să poată răspunde în termenul legal de o lună.

Cererile primite direct de Glamz. Dacă o persoană ne cere nouă ceva despre datele pe care le ține salonul, transmitem cererea salonului în cel mult 5 zile lucrătoare și îi spunem persoanei că am transmis-o. Nu răspundem pe fond în locul salonului, în afară de cazul în care salonul ne cere în scris.

Clienta își poate șterge singură contul Glamz. Efectele asupra fișei de la salon sunt cele din instrucțiunea permanentă de mai sus.

12. Asistența pentru securitate, notificări și evaluări de impact

Glamz ajută salonul să își îndeplinească obligațiile din art. 32–36 GDPR, ținând seama de natura prelucrării și de informațiile pe care le avem (art. 28 alin. (3) lit. f)):

• securitatea (art. 32): prin măsurile din Anexa tehnică;
• notificarea încălcărilor (art. 33 și 34): prin informațiile din secțiunea următoare;
• evaluarea impactului (art. 35): un salon care prelucrează date de sănătate pe scară largă poate fi obligat să facă o evaluare a impactului asupra protecției datelor (art. 35 alin. (3) lit. b) GDPR și lista ANSPDCP a operațiunilor pentru care evaluarea este obligatorie). Evaluarea o face salonul. Noi îi dăm, la cerere, descrierea prelucrării, lista subîmputerniciților, măsurile de securitate și răspunsuri la întrebările rezonabile despre felul în care funcționează Glamz;
• consultarea prealabilă a ANSPDCP (art. 36): aceleași informații, dacă salonul are nevoie de ele.

13. Încălcarea securității datelor

Dacă constatăm o încălcare a securității care privește datele salonului, anunțăm salonul fără întârzieri nejustificate și în cel mult 48 de ore de la constatare, prin email la adresa proprietarului contului (art. 33 alin. (2) GDPR).

Anunțul cuprinde, în măsura în care le știm (art. 33 alin. (3)):

• natura încălcării, inclusiv, dacă se poate, categoriile și numărul aproximativ al persoanelor vizate și al înregistrărilor afectate;
• numele și datele de contact ale persoanei de la Glamz de la care se pot afla mai multe informații;
• consecințele probabile ale încălcării;
• măsurile luate sau propuse de noi pentru a remedia încălcarea și pentru a-i reduce efectele.

Dacă nu avem toate informațiile deodată, le trimitem pe etape, fără alte întârzieri nejustificate (art. 33 alin. (4)).

Notificarea către ANSPDCP, în 72 de ore de la momentul în care salonul a luat cunoștință de încălcare, și, când e cazul, informarea clientelor (art. 34) sunt obligațiile salonului, ca operator. Le facem noi în numele salonului doar dacă salonul ne cere în scris.

Luăm fără întârziere măsurile de care depinde oprirea încălcării și păstrăm evidența faptelor, a efectelor și a măsurilor luate.

14. La încetare: export, ștergere sau returnare

La încetarea contractului dintre salon și Glamz, indiferent de motiv (art. 28 alin. (3) lit. g) GDPR):

• salonul își poate exporta datele timp de 30 de zile;
• în cel mult 90 de zile de la încetare, Glamz șterge datele salonului sau, la cererea scrisă a salonului, i le returnează și apoi le șterge;
• datele șterse dispar și din copiile de siguranță când acestea expiră, în cel mult 35 de zile.

Ștergerea se face de echipa Glamz; nu este o funcție automată. La cererea scrisă a salonului, confirmăm în scris că am șters datele.

Excepții. Păstrăm doar ce ne obligă legea să păstrăm pentru noi: facturile Glamz și evidența contabilă a Glamz (art. 25 din Legea contabilității nr. 82/1991 și Codul fiscal). Datele pentru care Glamz este operator în nume propriu, de pildă contul Glamz al clientei, nu se șterg odată cu datele salonului.

Salonul răspunde să își păstreze, înainte de ștergere, datele pe care legea îl obligă să le țină: documentele contabile, iar pentru apărarea în eventuale reclamații, chestionarele și consimțămintele semnate.

15. Informații, audit și inspecții

Punem la dispoziția salonului informațiile necesare ca să arate că obligațiile din art. 28 GDPR sunt respectate: acest acord, Anexa tehnică, lista subîmputerniciților și răspunsuri scrise la întrebări (art. 28 alin. (3) lit. h)).

Dacă informațiile nu ajung, salonul poate face un audit, inclusiv o inspecție, singur sau printr-un auditor independent obligat la confidențialitate, în aceste condiții:

• cu un preaviz de 30 de zile, în scris, la [email protected];
• cel mult o dată pe an, în afară de cazul în care auditul urmează unei încălcări a securității care a privit datele salonului sau este cerut de o autoritate;
• pe costul salonului;
• în programul de lucru și fără să oprească funcționarea platformei;
• fără acces la datele altor saloane și fără acces care să slăbească securitatea platformei.

Aceste limite nu se aplică inspecțiilor făcute de ANSPDCP, cu care cooperăm după lege.

16. Ce face Glamz cu datele în nume propriu

Din datele salonului, Glamz folosește în nume propriu doar ce este necesar pentru:

• securitate: jurnale tehnice, jurnalul de acces la fișe și de descărcări, apărarea împotriva abuzurilor;
• facturare: numărul de rezervări, de SMS-uri și de emailuri, sumele încasate în numele salonului;
• statistici despre folosirea platformei (de pildă câte programări sau cliente are un salon), fără nume, date de contact sau alte date din care să se poată afla cine este o clientă.

Glamz nu vinde datele salonului, nu le folosește pentru reclamă și nu antrenează modele de inteligență artificială pe datele de sănătate.

17. Obligațiile salonului, ca operator

Salonul răspunde de legalitatea prelucrării datelor pe care le pune în Glamz. În special, salonul:

• are un temei legal pentru fiecare prelucrare (art. 6 GDPR) și, pentru datele de sănătate, un temei din art. 9 alin. (2), pe care îl poate dovedi;
• informează clientele (art. 13 și 14 GDPR); poate trimite la pagina Datele tale la salon, dar trebuie să le dea și ce numai el știe: numele și datele lui de contact, scopurile proprii, cât păstrează datele din fișă;
• obține consimțământul explicit al clientei pentru datele de sănătate (art. 9 alin. (2) lit. a)), prin semnarea chestionarului în Glamz sau pe hârtie, notat apoi în Glamz, dacă nu are alt temei;
• nu condiționează de consimțământul pentru datele de sănătate serviciile care nu au nevoie de ele;
• trimite mesaje de marketing doar cu consimțământul clientei sau, pentru propriile cliente și servicii similare, pe temeiul art. 12 alin. (2) din Legea nr. 506/2004, cu dreptul de opoziție la fiecare mesaj;
• nu încarcă date de care nu are nevoie și nu trece date de sănătate în alte câmpuri decât cele făcute pentru ele (chestionar, înregistrări de sănătate, documente medicale), pentru că numai acestea sunt ascunse de recepție și de echipa Glamz;
• verifică vârsta clientei pentru serviciile cu vârstă minimă și obține, pentru minore, acordul părintelui sau al tutorelui;
• își instruiește personalul și îi dă fiecărei persoane rolul corect, astfel încât datele de sănătate să le vadă doar cine are nevoie de ele;
• informează personalul despre datele pe care le ține despre el (pontaj, ture);
• răspunde cererilor persoanelor vizate, notifică ANSPDCP și, când e cazul, face evaluarea impactului;
• ne dă instrucțiuni legale.

18. Răspunderea

Față de persoanele vizate, răspunderea se stabilește după art. 82 GDPR:

• salonul, ca operator, răspunde pentru prejudiciul cauzat de o prelucrare care încalcă GDPR;
• Glamz, ca persoană împuternicită, răspunde doar dacă nu și-a respectat obligațiile pe care GDPR le pune în sarcina persoanelor împuternicite sau dacă a acționat în afara instrucțiunilor legale ale salonului ori contrar lor (art. 82 alin. (2));
• o parte nu răspunde dacă dovedește că nu este în niciun fel responsabilă pentru faptul care a produs prejudiciul (art. 82 alin. (3));
• partea care a plătit întreaga despăgubire poate cere celeilalte partea ei, după măsura în care a contribuit la prejudiciu (art. 82 alin. (5)).

Între salon și Glamz se aplică limitarea răspunderii din Termenii pentru profesioniști, în măsura în care legea o permite. Limitarea nu se aplică răspunderii față de persoanele vizate, nu acoperă prejudiciul cauzat cu intenție sau din culpă gravă (art. 1355 Cod civil) și nu mută de la o parte la alta amenzile aplicate de autoritate fiecăreia dintre ele.

19. Prioritatea față de Termenii pentru profesioniști

Pentru tot ce privește protecția datelor pe care Glamz le prelucrează în numele salonului, acest acord are prioritate față de Termenii pentru profesioniști. În rest, se aplică termenii.

Clauzele contractuale standard încheiate cu subîmputerniciții au prioritate față de acest acord pentru transferurile pe care le acoperă.

Acordului i se aplică legea română. Litigiile dintre salon și Glamz se judecă de instanțele de la sediul Stefan-Marian Kis Persoană Fizică Autorizată.

20. Durata și modificarea acordului

Acordul intră în vigoare când salonul acceptă Termenii pentru profesioniști și durează cât contractul dintre salon și Glamz. Obligațiile de la încetare, de confidențialitate și de ștergere continuă până sunt îndeplinite.

Modificăm acordul cu același preaviz ca Termenii pentru profesioniști, de cel puțin 15 zile, anunțat prin email la adresa proprietarului contului. Pentru schimbarea subîmputerniciților se aplică preavizul de 30 de zile din secțiunea lor. Dacă salonul nu este de acord cu o modificare, poate înceta contractul înainte ca modificarea să intre în vigoare.

O modificare cerută de lege sau de o autoritate se poate aplica mai devreme, dacă legea sau autoritatea o cere.

21. Anexa tehnică: măsurile de securitate

Măsurile tehnice și organizatorice aplicate de Glamz la data acordului (art. 32 GDPR):